IBsolution Standard-Prozess-Paket ZBV Variante für SAP Identity Management

Transkript

1 IBsolution Standard-Prozess-Paket ZBV Variante für SAP Identity Management Version: 2.0 Datum: November 2015 IBSolution GmbH

2 Ausgangslage Anforderungen aus unterschiedlichen Bereichen Weniger Aufwand für die Berechtigungsadministration Teil-Automatisierung der Berechtigungsvergabe Vermeidung von Mehrfacherfassungen & Medienbrüchen Etablierung Employee Self Services Berechtigungsantrag Passwort-Rücksetzung Konsistente Verteilung in heterogene Systemlandschaften SAP- und NonSAP-Systeme AS ABAP / AS Java HANA Integration Active Directory Nachweisführung Genehmigungsverfahren bei der Vergabe von Berechtigungen Seite 2

3 Identity Management Lösung IBSolution GmbH

4 IBsolution Standard-Prozess-Paket für SAP IdM Das Fertighaus für Ihre Identity Management Lösung im Unternehmen Vorgefertigte Benutzer Prozesse Umgesetzte fachliche Anforderungen Vorbereitete technische Anbindungen Support *) *) Support ist eine optionale Komponente und nicht Bestandteil des Standard Prozess Pakets Seite 4

5 Einleitung Übersicht Inhalt des IBSolution Standard-Prozess-Pakets Vordefinierte Prozesse basierend auf 3D Planungskonzept Beschreibung der Prozesse Anbindung von Quell- und Zielsystemen SAP, Active Directory und Exchange Vordefiniertes Verteilmodell Umgesetzte fachliche Anforderungen Genehmigungswege Berechtigungen anhand Organisationszugehörigkeit Liefergegenstände Standard Implementierungspaket (erweiterbar) Benutzer- und Administrationshandbuch Standardsprache der Dokumentation: Deutsch Seite 5

6 IBsolution Standard-Prozess-Paket für SAP IdM Prozesse Abgebildete Prozesse für Mitarbeiter (User Lifecycle) Eintrittsprozess Austrittsprozess Änderungsprozesse Stammdaten (ohne Genehmigung) Berechtigungsantrag (dedizierte Rechte, Freitext) Abwesenheit Sperren/Entsperren von Benutzern Passwort Management Initiale Kennwörter für angebundene Systeme Seite 6

7 IBsolution Standard-Prozess-Paket für SAP IdM Anbindungen Enthaltene Anbindungen Quellsystem: SAP HCM Gemeinsamer Schlüssel: Personalnummer Rückschreiben Infotyp 105 Zielsysteme: SAP AS ABAP SAP AS Java MS Active Directory 2008R2 MS Exchange 2010 Funktionen: Anlage Berechtigungen vergeben/entziehen Sperren/Entsperren Löschen Setzen initiales Kennwort Seite 7

8 IBsolution Standard-Prozess-Paket für SAP IdM Fachliche Anforderungen Fachliche Anforderungen im Standard Genehmigungswege Einstufige Genehmigung Berechtigungen anhand Organisationszugehörigkeit Dynamische Gruppenzugehörigkeit auf Basis von SAP HCM Daten Berechtigungen können hier Organisationseinheiten (Abteilungen) zugeordnet werden Administrative Unterstützung Massenänderungen Reporting Ad-Hoc Berichte für Berechtigungen einer Person (aktuell und historisch) Seite 8

9 IBsolution Standard-Prozess-Paket für SAP IdM Support Der Support für das IBsolution Standard-Prozess-Paket für SAP IdM muss separat beauftragt werden. Folgende Leistungen enthält der Support Update Zyklen: 1 x im Quartal, bei neuem Service Pack für die eingesetzte SAP IdM Version Einzeltransporte und Dokumentationen über Änderungen und Anpassungen. Sicherstellen, dass die Identity Management Lösung als Gesamtes voll funktionsfähig und aktuell ist. Reaktiver Support Im Rahmen des Supports können Anfragen per gestellt werden. Die Bearbeitung der Anfragen wird über den tatsächlichen Aufwand abgerechnet (volle Stunden). Es gibt keine garantierten Antwortzeiten. Weitere Supportpakete auf Anfrage Seite 9

10 Projektvorgehen Fahrplan IBSolution GmbH

11 Vorgehen IdM Projekt Fahrplan Vorbereitung Aufbau Produktivsetzung Support Workshops Abstimmung funktionaler Umfang Zeitplanung Beschaffung Infrastruktur Feinkonzeption Grundinstallation Anbindung Quellund Zielsysteme (Test) Review Benutzeroberfläche Implementierung von kleinen Erweiterungen Abnahmen Anbinden der produktiven Systeme Inbetriebnahme Übergabe an Support Pflege der Anwendung (Patches) Kleine Erweiterungen 1-3 Monate 2-3 Monate 1+ Monat Fortlaufend Im Zeitstrahl wird die Projektdauer beispielhaft angegeben, individuelle Abweichungen sind möglich. Seite 11

12 Vorgehen IdM Projekt Fahrplan - Vorbereitung Entwurf fertiggestellt 1. Woche 2. Woche 3. Woche 4. Woche 5. Woche 6. Woche 7. Woche 8. Woche N Woche N+1 Woche N+2 Woche N+3 Woche Power workshop Funktionaler Umfang Dokumentation (Entwurf) Funktionaler Umfang abgestimmt Abstimmung Beauftragung Funktionaler Umfang Dokumentation Zeitplanung Beschaffung Infrastruktur Entwicklung und Produktion Seite 12

13 Vorgehen IdM Projekt Fahrplan - Aufbau 1. Woche 2. Woche 3. Woche 4. Woche 5. Woche 6. Woche 7. Woche 8. Woche 9. Woche 10. Woche 11. Woche N. Woche JF JF JF JF JF Projekt Abstimmung Fragebögen bearbeiten Verteilmodell definiert und abgestimmt KickOff Verteilmodell Grundinstallation Entwicklung DEV: Installation abgeschlossen Anbindung Quellsystem Anbindung Zielsysteme DEV: HCM Quellsystem angebunden DEV: 2 Zielsysteme angebunden Benutzeroberfläche abgenommen Review User Interface UAT* Paket Optionale Leistungen Nicht im Paket enthalten Feinkonzept Erweiterungen Testplan Erweiterungen Paketänderungen abgenommen JF Implementierung Erweiterungen, UAT* * UAT: User Acceptance Test Seite 13

14 Vorgehen IdM Projekt Fahrplan Produktivsetzung & Support -2. Woche -1. Woche 1. Woche 2. Woche 3. Woche 4. Woche 5. Woche 6. Woche 7. Woche 8. Woche 9. Woche 10. Woche Grundinstallation Produktion PRD: Installation abgeschlossen JF JF Produktion JF JF initialisiert Transport auf Produktion Produktiv setzung PRD: Quell- und 2 Zielsysteme angebunden Unterstützung nach der Produktivsetzung JF Alle Zielsysteme angebunden Projektabschlussfeier Übergang in Regelbetrieb Übergabe an Support Seite 14

15 Anbindungen IBSolution GmbH

16 Technical Lifecycle HCM Anbindung (Quellsystem) Alle Tätigkeiten auf der SAP ABAP HCM Seite müssen vom Auftraggeber geliefert werden HCM Anbindungstypen: LDAP (SAP Standard Anbindung) Direktes Lesen (IBsolution ABAP Connector) Einschränkungen für LDAP Anbindung Für den Vorgesetzten muss das Feld MSTBR gepflegt werden Genehmigungen Führungskraft Mitteilungen an Führungskraft Manager Self Services (MSS) Keine dynamischen Gruppen auf Basis von Organisationsstruktur Einschränkungen für direktes Lesen Organisationsstruktur (OM) sollte gepflegt sein um alle Vorteile zu haben. Seite 16

17 Technical Lifecycle Eigenschaften HCM Anbindung / mit OM Funktionalität Laden und Verarbeiten der Daten: eingeplante Tätigkeit (Jobs) Beliebige Anzahl an HCM Zeitscheiben können verarbeitet werden Unabhängigkeit von der Bearbeitung durch die Personalabteilung Eindeutiger Schlüssel ist konfigurierbar Personalnummer (PA0000 / PERNR) Atomare Aktionen Identitäten: Neuanlage (zukünftige Zeitscheibe / konfigurierbar) Modifikation (aktuelle Zeitscheibe) Sperren (aktuelle Zeitscheibe) ausschließlich über Mitarbeiter Status (PA0000 / STAT2) Aktionen Organisationsmanagement (OM) Organisationen inklusive Referenzen zu Organisation (Hierarchie) Positionen inklusive Referenzen zu Organisation Manager Referenzen Seite 17

18 Technical Lifecycle Eigenschaften HCM Anbindung / mit OM Funktionalität Fachliche Anforderungen Protokollierung der Aktionen (Excel Datei) Simulationsmodus Prüfung von Änderungsraten Schwellwerte für Organisations Referenzen Modifikation Identitäten Neuanlage Identitäten Austritt (drei Prüfungen) Nicht berücksichtig werden Subtypen von Maßnahmen, ausschließliche Reaktion über den Mitarbeiter Status Seite 18

19 Technical Lifecycle Verhalten HCM Anbindung A - 1 B - 1 B - 2 B - 3 C - 1 C - 2 D - 1 Im IdM aktiv E - 1 E - 2 E - 3 Im IdM unbekannt F - 1 Heute +1 Tag X-1Tag X X+1Tag t (Zeit) stat2 = 3 stat2 = 0/1 X = Tag in der Zukunft Seite 19

20 Technical Lifecycle Verhalten HCM Anbindung Fall Beschreibung Verhalten / Ergebnis im IdM A-1 Mitarbeiter-Eintritt in der Vergangenheit, Austritt in der Vergangenheit Datensatz wird ignoriert B-1 Mitarbeiter-Eintritt in der Vergangenheit, Austritt derzeit nicht bekannt, Änderung liegt vor (STAT2 = 3) B-2 Mitarbeiter-Eintritt in der Vergangenheit, Austritt derzeit nicht bekannt, Änderung liegt vor (STAT2 = 3) B-3 Mitarbeiter-Eintritt in der Vergangenheit, Austritt derzeit nicht bekannt, es liegt keine Änderung vor (STAT2 = 3) Daten werden übernommen Daten werden erst am nächsten Tag übernommen, Status wird nicht geändert Datensatz wird ignoriert, Status wird nicht geändert C-1 Mitarbeiter-Eintritt in der Vergangenheit, Austrittsdatum erreicht Identität wird gesperrt (Disable) C-2 Mitarbeiter-Eintritt in der Vergangenheit, Austrittsdatum bald erreicht Identität wird erst am nächsten Tag gesperrt (Disable) D-1 Mitarbeiter-Eintritt in der Vergangenheit, Austritt in der Vergangenheit, ist im IdM bekannt und aktiv Identität wird sofort gesperrt da keine Daten vom HCM (Disable) E-1 Mitarbeiter-Eintritt in der Zukunft Identität wird angelegt (Enabled) E-2 Mitarbeiter-Eintritt in der Zukunft Identität wird angelegt (Enabled) E-3 Mitarbeiter-Eintritt in der Zukunft Identität wird am nächsten Tag angelegt (Enabled) F-1 Mitarbeiter-Eintritt in der Vergangenheit, Maßnahme Ruhend bereits erfasst und umgesetzt, Ende Ruhend-Phase nahezu erreicht Identität wird / bleibt gesperrt, Aktivierung erst zum Stichtag Seite 20

21 Technical Lifecycle SAP AS ABAP/Java Anbindung Alle Tätigkeiten auf der SAP AS ABAP und AS Java Seite müssen vom Auftraggeber geliefert werden Kommunikationsbenutzer IdM Standardrollen Portalintegration Funktionsumfang Anlage (UME Datasource) Berechtigungen vergeben/entziehen Sperren/Entsperren Initiale Kennwörter Soll/Ist Abgleich Seite 21

22 Technical Lifecycle AD & Exchange Anbindung Alle Tätigkeiten auf der Microsoft Active Directory & Exchange Seite müssen vom Auftraggeber geliefert werden Kommunikationsbenutzer Funktionsumfang Anlage AD Account Anlage Exchange Postfach Berechtigungen (AD Gruppen) vergeben/entziehen Sperren/Entsperren Initiales Kennwort Soll/Ist Abgleich Seite 22

23 Benutzeroberflächen & Administration IBSolution GmbH

24 Benutzeroberfläche Benutzer- und Admin-Oberflächen Benutzer Eigene Daten (ESS) Antrag auf Berechtigungen (ESS/MSS) Genehmigung Antrag auf Berechtigung (MSS) Anlage Externer Mitarbeiter (ESS) Benutzerverwaltung (MSS) Admin (ausschließlich MSS) Erweiterte Benutzerverwaltung Reporting in den Dialogen Aktuelle Daten Historische Daten ZBV Dialog (SU01) Empfehlung: Pflege der Parameter dezentral (SU2) Pflege von Rollen und Berechtigungen Pflege Genehmiger Zusätzliche Hilfetexte Seite 24

25 Benutzeroberfläche Delegierte Administration Im Manager Self Service (MSS) ist es erforderlich, die administrativen Bereiche klar abzugrenzen. Sichtbarkeit von Mitarbeitern Auf Basis der Organisationsstruktur Manager: alle Mitarbeiter in seiner Organisation Sichtbarkeit von Berechtigungen Alle Berechtigungen können beantragt werden Sichtbarkeit von Aufgaben Jede Aufgabe kann separat vergeben werden (via Privileg) Seite 25

26 Beistellleistungen Abgrenzungen IBSolution GmbH

27 Installation Vom Auftraggeber bereit zu stellen (Product Availability Matrix beachten) Server und Betriebssystem SAP AS Java (IdM UI) Datenbank Datenbank Client Installation Kerberos Principal für IdM UI SSO IBsolution Aufsetzten IdM Grundsystem (2x) Einspielen IBsolution Standard-Prozess-Paket für SAP IdM Konfigurieren JCO (AS ABAP), HTTPS (AS Java) und LDAPS (AD) Konfiguration SSO für SAP AS Java UI Transport der Anpassungen von Entwicklung auf Produktion Nicht enthalten ABAP Anbindung mit Verschlüsselung (SNC) Seite 27